Von pfSense zu OPNsense
OPNsense und pfSense haben gemeinsame Wurzeln: OPNsense entstand 2014 als Fork und ist seit Januar 2015 verfügbar. Seitdem haben sich beide deutlich auseinanderentwickelt. Die Migration ist überschaubar, aber kein Import-Knopf.
Auf einen Blick
- Quelle
- pfSense
- Ziel
- OPNsense, Business Edition
- Umschaltung
- meist 1–2 Stunden
- Rückfallebene
- bis zur Freigabe
Ausgangslage
Warum Betreiber wechseln
pfSense ist in die freie Community Edition und das kommerzielle pfSense Plus aufgeteilt. Viele Betreiber fragen sich, wie es mit der CE weitergeht. OPNsense bietet einen festen Release-Zyklus, eine durchgängige API und einen europäischen Hersteller.
Typische Gründe
- Unsicherheit durch die Aufteilung in CE und Plus
- fester Release-Zyklus im Januar und Juli
- durchgängige REST-API für Automatisierung
- europäischer Hersteller mit offenem Entwicklungsprozess
Funktionen
Was aus Ihren pfSense-Funktionen wird
| pfSense | OPNsense | Hinweis |
|---|---|---|
| Interfaces, VLANs | Interfaces, VLANs | direkt übertragbar |
| Aliases | Aliases | inklusive URL-Tabellen |
| Firewall-Regeln | Firewall-Regeln | gleiche Engine (pf), sorgfältig übertragen |
| NAT | NAT | vollständig abbildbar |
| IPsec, OpenVPN | IPsec, OpenVPN | inklusive Zertifikate und CA |
| WireGuard-Paket | WireGuard (integriert) | Peers werden übertragen |
| pfBlockerNG | Unbound-Blocklisten, URL-Aliases, CrowdSec | im Einzelfall prüfen |
| HAProxy, ACME | HAProxy- und ACME-Plugin | vorhanden |
| Squid, SquidGuard | Proxy-Plugin oder Zenarmor | Richtlinien neu aufbauen |
| CARP, HA | CARP, HA | gleiches Konzept |
Vorgehen
So migrieren wir
Ablauf
- Sicherung der config.xml und der Paketliste
- Abgleich jedes Pakets mit seinem OPNsense-Gegenstück
- Übertragung von Interfaces, Aliases, Regeln, NAT und VPNs
- Test im Labor oder parallel
- Umschaltung im Wartungsfenster, pfSense als Rückfallebene
- Nachbetreuung und Dokumentation
Worauf Sie achten sollten
- Kein Direktimport: Die Konfigurationsdateien sehen ähnlich aus, sind aber nicht kompatibel.
- Pakete: Nicht jedes pfSense-Paket gibt es als OPNsense-Plugin in gleicher Form.
- Gleiche Engine: Beide nutzen pf, die Regellogik ist vertraut. Das senkt das Risiko deutlich.
Der allgemeine Ablauf in fünf Arbeitsgängen steht unter Migration auf OPNsense.
FAQ
Fragen zur Migration von pfSense
Ist die Migration von pfSense einfacher als von anderen Herstellern?
Ja, weil beide auf pf basieren und ähnliche Konzepte nutzen. Trotzdem übertragen wir strukturiert statt per Import.
Was wird aus pfBlockerNG?
OPNsense bietet DNS-Blocklisten in Unbound, URL-Tabellen als Aliases und das CrowdSec-Plugin. Zusammen decken sie die typischen Fälle ab.
Können wir die pfSense-Hardware weiter nutzen?
Bei x86-Hardware meist ja, sofern sie noch Garantie hat und leistungsfähig genug ist. Wir prüfen das vorab.
Kontakt
Senden Sie uns Ihren Konfigurations-Export
Wir sagen Ihnen, was sich direkt übertragen lässt, was nicht und was die Migration kostet.